Персональные данные: Рекомендации для малого и среднего бизнеса

 В июле 2010 года британское ведомство Information Commissioner's Office (ICO), являющееся "регулятором"  в сфере обработки персональных (ПДн), выпустило рекомендации для малого и среднего бизнеса.

Рекомендации призваны помочь организациям сформировать политику в части обработки персональных данных. Ибо наказание за противоправное поведение достаточно сурово - тот же ICO за нарушение законодательства о персональных данных (Data Protection Act) может подвергнуть нарушителя штрафу до 500,000 фунтов.

Листовку с рекомендациями можно найти на сайте ICO. Рекомендации изложены в виде тезисов, всего их девять. На мой взгляд, идеи, высказанные в этом документе, достаточно универсальны, и рекомендации могут быть применены и в других странах, с более суровым или более мягким климатом.

• Подумайте еще раз, действительно ли вам необходимо собирать персональные данные. Не заставляйте физических лиц (субъектов ПДн) логиниться, регистрироваться или сообщать свои персональные данные до того момента или только в тех случаях, когда это безусловно необходимо. Допустимо запрашивать персональную информацию в случаях, когда физическое лицо обращается с запросом или желает вступить с вашей организацией в деловые (гражданско-правовые) отношения.
• Если вы занимаетесь сбором персональных данных, их владельцы должны знать, кто вы, и что вы собираетесь делать с этой информацией. Эта информация должна быть открыто (дословно "на видном месте") размещена на вашем сайте в понятной, доступной форме.
• Вы несете установленную законом ответственность за безопасное хранение персональных данных ваших клиентов. Обратитесь к вашему поставщику ИТ-услуг за рекомендациями в части шифрования данных. Удостоверьтесь, что персонал, имеющий доступ к персональным данным, прошел необходимоге обучение по их безопасной обработке и хранению.
• Если вы используете услуги аутсорсера, например, который обслуживает ваши базы данных, удостовертесь, что с ним заключено письменно соглашение, обязывающее его надлежащим образом относиться к вашей информации, включая ее безопасное хранение.
• Если вы собираетесь использовать персональные данные клиентов для рассылки им маркетинговых материалов, например промоушн писем по электронной почте, дайте клиентам явную возможность выбрать [хотят они получать информацию или нет]. Обратите внимание, что в зависимости от используемых методов рассылки могут быть применимы различные правовые нормы законодательства (Privacy and Electronic Communications Regulations 2003).
• Ваш веб-сайт может содержать информацию, предоставленную третьими лицами, например, рекламные объявления. Несмотря на то, что по закону вы не несете за нее отвественности, ваши клиенты могут думать иначе. Поэтому правильной считается политика, когда организация берет на себя ответственность за весь контент, размещенный на ее сайте. Например, вы должны разработать процедуру реакции на жалобы ваших клиентов на рекламу, размещенную на вашем сайте.
• Удостоверьтесь, что хранимые и собираемые вами персональные данные действительно используются. Если данные более не нужны, прекратите их собирать и уничтожьте собранные, но бее ненужные персональные данные способом, гарантирующим невозможность их дальнейшего использования, в том числе третьими лицами.
• Помните, что субъекты персональных данных имеют права доступа к информации, которую вы о них собрали и храните. Удостоверьтесь, что ваш персонал обучен и знает, как обрабатывать запросы владельцев персональных данных.
• Стимулируйте (заинтересуйте) ваших клиентов проверять информацию, которую вы о них храните, например, предоставив им онлайн доступ к своим данным (счетам). Дайте им возможность обновлять и исправлять ошибки в своих данных.

Как вы уже заметили, большинство из этих рекомендаций "отлито в граните" российского законодательства о персональных данных, и это не просто хорошая практика, а бескомпромиссные требования закона. Тем не менее, оцените, под каким соусом англичане подают свои рекомендации. "Относитесь к персональной информации должным образом, и вы пожнете доверие и уважение со стороны ваших клиентов и пользователей" - говорит руководитель ICO Кристофер Грахэм (Christopher Graham).